サイバーテロとは？国家支援型サイバー攻撃との違い、事例と企業が取るべき対策を解説|セキュリティ対策Lab

投稿日時: 2026年09月08日更新日時: 2026年09月08日

サイバーテロとは、警察庁の定義では、重要インフラの基幹システムに対する電子的攻撃、または重要インフラの基幹システムで発生した重大な障害のうち、電子的攻撃による可能性が高いものを指します。

一般には「政治的・思想的な目的を持つ大規模なサイバー攻撃」という意味でも使われますが、日本の警察行政では、攻撃者の動機よりも、電力、通信、鉄道、金融、医療、水道などの重要インフラと、その基幹システムへの影響を中心に整理されています。

そのため、国家支援型ハッカーによる攻撃がすべてサイバーテロになるわけではありません。機密情報の窃取が目的ならサイバーエスピオナージ、暗号資産の窃取が目的なら国家支援型サイバー犯罪として整理した方が正確な場合があります。

一方、国家支援型脅威アクターが電力、通信、水道、交通などの重要インフラへ侵入し、停止・破壊・妨害を狙う活動は、サイバーテロと企業のサイバーリスクが重なる領域です。ロシア、イラン、北朝鮮などの国家支援型アクターや、Scattered Spider、ShinyHuntersのような金銭目的の犯罪集団も、社会機能を支える企業を攻撃対象にしています。

サイバーテロとは

警察庁はサイバーテロについて、次のように整理しています。

重要インフラの基幹システムに対する電子的攻撃、または重要インフラの基幹システムにおける重大な障害で、電子的攻撃による可能性が高いもの

警察庁の2025年版警察白書でも、重要インフラの基幹システムを機能不全に陥れ、社会機能を麻痺させるサイバーテロは、国の治安、安全保障、危機管理に関わる脅威として扱われています。

ポイントは、「サイバー攻撃＝サイバーテロ」ではないことです。

たとえば、一般企業のECサイトから顧客情報が盗まれた不正アクセスは重大なサイバー犯罪ですが、それだけで警察庁が定義するサイバーテロに該当するとは限りません。

一方、鉄道の運行管理、電力制御、水処理、通信網、医療提供など、社会生活に不可欠な役務を支える基幹システムが攻撃され、サービス継続へ重大な影響が出る場合は、サイバーテロとして扱われる領域に入ります。

日本で重要インフラに指定されている15分野

警察庁が参照する「重要インフラのサイバーセキュリティに係る行動計画」では、重要インフラとして15分野が指定されています。

分野	代表的な対象
情報通信	通信事業者、インターネット基盤
金融	銀行、証券、決済
航空	航空会社、航空運航
空港	空港施設・運営
鉄道	鉄道事業者、運行関連システム
電力	発電、送配電
ガス	ガス供給
政府・行政サービス	国、地方公共団体
医療	医療提供体制
水道	上下水道
物流	物流・配送
化学	化学産業
クレジット	クレジット関連
石油	石油供給
港湾	港湾関連サービス

これらの事業者では、一般的な情報漏洩だけでなく「システム停止が社会機能へ与える影響」を前提に対策を設計する必要があります。

サイバーテロとサイバー攻撃・サイバー犯罪の違い

サイバー関連用語は重複して使われることがあります。

企業のリスク管理では、攻撃者の目的と影響を分けて整理すると判断しやすくなります。

用語	主な目的・特徴	例
サイバー攻撃	悪意ある電子的攻撃の総称	不正アクセス、DDoS、マルウェア
サイバー犯罪	金銭・詐欺・窃取など犯罪目的	ランサムウェア、認証情報窃取
サイバーテロ	重要インフラ等への攻撃で社会機能へ重大な影響	電力・水道・交通の機能停止
サイバーエスピオナージ	機密情報や先端技術の窃取	政府・防衛企業への長期潜伏
ハクティビズム	政治・思想的主張を伴う攻撃	DDoS、Web改ざん、情報公開
国家支援型サイバー攻撃	国家機関や国家支援アクターによる作戦	諜報、破壊、資金獲得、影響工作

国家支援型攻撃でも、目的が情報窃取なら「国家支援型サイバーエスピオナージ」、目的が暗号資産窃取なら「国家支援型サイバー犯罪」とした方が実態に近いケースがあります。

「国家支援型ハッカー＝サイバーテロリスト」と一律に分類しないことが、脅威評価では必要です。

サイバーテロでは何が狙われるのか

サイバーテロの標的は、社会の継続に必要なシステムです。

特に影響が大きいのは、ITシステムだけでなく、現実の設備を制御するOT・ICSです。

想定される標的には次があります。

電力の監視・制御システム
発電所・変電所
上下水道のPLC、SCADA
ガス供給設備
鉄道の運行・予約・駅務システム
空港・航空関連システム
通信事業者のネットワーク機器
医療機関の電子カルテ・医療提供基盤
港湾・物流システム
行政サービス
金融決済基盤
認証・ID基盤
DNS、ルーターなどネットワーク基盤

近年は、攻撃対象となる企業そのものを停止させるだけでなく、委託先や通信事業者、クラウド、SaaS、ネットワーク機器を経由して影響を広げる攻撃もあります。

サイバーテロで使われる主な攻撃手法

サイバーテロ専用の攻撃手法が存在するわけではありません。

一般的なサイバー攻撃で使われる技術が、重要インフラや社会基盤へ向けられます。

不正アクセス

VPN、ファイアウォール、ルーター、公開サーバーなどの脆弱性や設定不備を悪用して侵入します。

国家支援型アクターは、侵入後すぐに破壊せず、長期間潜伏する場合があります。

認証情報窃取

フィッシング、ビッシング、Infostealer、パスワード使い回しなどで認証情報を入手し、正規アカウントで侵入します。

マルウェア・ワイパー

システムを暗号化するランサムウェアのほか、復旧を困難にする目的でデータを破壊するワイパーマルウェアが使われる場合があります。

DDoS攻撃

大量の通信を送り、Webサイトやサービスを利用できない状態にします。

物理的な設備停止まで至らなくても、行政、金融、交通などの利用者向けサービスに影響を与える可能性があります。

OT・ICSへの攻撃

PLC、HMI、SCADAなどの産業制御システムを操作し、設備の制御や監視を妨害します。

IT環境への攻撃と異なり、物理設備や安全へ影響する可能性があります。

サプライチェーン攻撃

ソフトウェア、委託先、クラウド、ネットワーク機器などを侵害し、その先の重要インフラ事業者へ到達します。

サイバーテロの代表的な事例　ウクライナの電力網

警察庁は、海外で発生したサイバーテロの代表例として、ウクライナの電力会社への攻撃を挙げています。

2015年12月、ウクライナでサイバー攻撃により複数の変電所との通信が切断され、約8万の顧客が停電の影響を受けました。

2016年にもキエフ近郊で電力供給へ影響するサイバー攻撃が発生しています。

電力、通信、水道などのインフラがサイバー攻撃によって停止すると、影響は対象企業の中だけにとどまりません。

病院、交通、店舗、通信、製造業など、他の社会機能へ連鎖する点がサイバーテロの大きなリスクです。

ロシアの国家支援型脅威アクター　重要インフラへの侵入を継続

ロシアは、国家支援型サイバー攻撃と重要インフラリスクを考えるうえで代表的な国家の一つです。

米NSA、CISA、FBIなど12カ国18機関は2026年7月、ロシア連邦保安庁（FSB）第16センターのサイバーアクターが、脆弱または設定不備のあるルーターを世界的に悪用しているとして共同アドバイザリを公表しました。

対象には、

防衛産業基盤
通信
エネルギー
金融
政府施設
医療

などが含まれます。

攻撃者はルーターなどのエッジ機器を侵害し、通信の監視や認証情報窃取、標的ネットワークへの足掛かりとして利用します。

重要インフラでは、サーバーやPCだけを監視しても不十分です。

インターネットに接続されたルーター、VPN、ファイアウォール、リモート管理機器なども国家支援型アクターの標的になります。

セキュリティ対策Labでは、ロシアのFSBによる重要インフラへの攻撃について、次の記事で詳細を整理しています。

米英加豪など18機関、ロシアによるルーターを悪用した重要インフラへのサイバー攻撃を警告

また、国家機関と犯罪グループの関係については、国家とハッカー/ランサムウェアグループの結託―ロシア・中国・イランによるサイバーグレーゾーン戦略で整理しています。

イランの国家支援型アクター　PLCを狙い米重要インフラへ影響

イラン系とされるサイバーアクターも、重要インフラへの攻撃で継続的に警告されています。

FBI、CISA、NSA、米環境保護庁、エネルギー省、米サイバー軍などは2026年4月、イラン系APTが米国の重要インフラに設置されたインターネット接続PLCを狙っていると共同で警告しました。

7月22日の更新では、Rockwell Automation製PLCだけでなく、Schneider Electric、Siemens製を含む複数のPLCが標的として確認されています。

米当局によると、攻撃は政府施設、上下水道、エネルギーなどで確認され、一部では操業への影響や金銭的損失が発生しました。

この種の攻撃では、専用の高度なマルウェアだけが使われるとは限りません。

インターネットへ直接公開されたOT機器、弱いパスワード、正規エンジニアリングツールなど、通常の管理経路を悪用される可能性があります。

セキュリティ対策Labでは、イラン系APTによるPLC攻撃を次の記事で取り上げています。

イラン系APTが米重要インフラへサイバー攻撃、正規エンジニアリングツールで制御ロジックを改変

イラン革命防衛隊（IRGC）や情報安全省（MOIS）と関連づけられるアクター、サイバープロキシの利用については、国家とハッカー/ランサムウェアグループの結託―ロシア・中国・イランによるサイバーグレーゾーン戦略でも整理しています。

北朝鮮のLazarus Group　国家支援型でも目的は資金獲得・諜報・破壊で異なる

北朝鮮のLazarus Groupは、国家支援型脅威アクターとして広く知られています。

米FBIは、Lazarus GroupやAPT38について、北朝鮮政府の偵察総局（RGB）に属するハッカー活動と関連付けています。

活動には、

金融機関への攻撃
暗号資産窃取
防衛・航空宇宙企業への標的型攻撃
情報窃取
破壊的マルウェア

などがあります。

ただし、Lazarus Groupの攻撃をすべて「サイバーテロ」と表現するのは正確ではありません。

暗号資産を盗み北朝鮮政権の資金獲得につなげる活動は国家支援型サイバー犯罪、防衛企業の情報を盗む活動はサイバーエスピオナージとして整理できます。

一方、重要インフラや社会機能の停止・破壊を狙う活動が確認された場合は、サイバーテロとの重なりが大きくなります。

セキュリティ対策Labでは、北朝鮮の国家支援型アクターについて次の記事で継続的に取り上げています。

北朝鮮のハッカー集団 Lazarus（ラザルス）とは？攻撃手法や日本での被害実例

2026年には、防衛・航空宇宙関連企業を狙ったゼロデイ攻撃も確認されています。

Lazarus Group、Windowsゼロデイ脆弱性を悪用し防衛関連企業へサイバー攻撃

ロンドン交通局への攻撃　重要インフラへの攻撃でも国家支援型とは限らない

国家支援型アクターだけが重要インフラを狙うわけではありません。

2024年8月31日から9月3日にかけて、英国のTransport for London（TfL／ロンドン交通局）がサイバー攻撃を受けました。

英国国家犯罪対策庁（NCA）によると、攻撃によって148のシステムが利用不能になり、従業員約2万7,000人がオフィスでパスワードを再設定する必要が生じました。

Dial-a-Rideの予約、割引乗車カード、デジタル決済、非接触型決済拡大などにも影響が出て、TfLの損失・復旧費用は2,900万ポンドに達したとされています。

NCAは2026年、Thalha JubairとOwen Flowersの2人をこの攻撃に関与したScattered Spiderの主要メンバーとして起訴・有罪認定し、両名は2026年7月に禁錮5年6月を言い渡されました。

セキュリティ対策Labでも、この事案を取り上げています。

米、英政府ロンドン交通局を停止させたとされるハッカーを摘発

この事案は重要インフラである交通事業者への重大なサイバー攻撃ですが、英国当局は実行者を国家支援型ではなくサイバー犯罪集団Scattered Spiderのメンバーとして認定しています。

「重要インフラへの攻撃＝国家によるサイバーテロ」とは限らないことを示す事例です。

ShinyHuntersとScattered Spiderは同一視しない

ShinyHuntersは、企業からデータを盗み、恐喝に利用する活動で知られる金銭目的のサイバー犯罪ブランドです。

2026年、Google Threat Intelligence Group（GTIG）とMandiantは、ShinyHuntersを名乗る恐喝活動に関連する複数の脅威クラスターを追跡しています。

代表的な攻撃では、

IT担当者を装ったビッシング
SSO認証情報の窃取
MFAコードの窃取
不正なMFAデバイス登録
Salesforce、Microsoft 365、OktaなどSaaSからのデータ窃取
盗んだデータを使った恐喝

が確認されています。

セキュリティ対策Labでは次の記事で攻撃手法を整理しています。

Googleが警告、ShinyHuntersがボイスフィッシングを起点としてSaaSへ不正アクセス

また、Oracle PeopleSoftへの大規模攻撃についても取り上げています。

ハッカーグループがOracle PeopleSoftへサイバー攻撃―100組織超から300インスタンスへ不正アクセスか

ShinyHunters、Scattered Spider、LAPSUS$などは、同じ英語圏のサイバー犯罪エコシステムや「Scattered LAPSUS$ Hunters」と呼ばれる緩やかなブランド・連携の文脈で名前が並ぶことがあります。

ただし、ロンドン交通局への2024年の攻撃について、NCAが公式に認定しているのはScattered Spiderです。

そのため、「ShinyHuntersがロンドン交通局を攻撃した」と断定するのではなく、TfL事件はScattered Spider、ShinyHuntersは別途SaaSデータ窃取・恐喝で追跡されている集団として分けて整理する方が正確です。

国家支援型アクターとサイバー犯罪集団の境界が曖昧になっている

企業側が難しいのは、攻撃発生時に「国家攻撃か、金銭目的の犯罪か」をすぐ判別できないことです。

国家支援型アクターが、

ランサムウェアを装う
犯罪者向けインフラを利用する
プロキシやハクティビストを利用する
データ窃取と破壊を組み合わせる

ケースがあります。

反対に、金銭目的の犯罪グループでも、交通、通信、医療、金融などの重要インフラを攻撃し、国家レベルの社会的影響を発生させる可能性があります。

セキュリティ対策Labの国家とハッカー/ランサムウェアグループの結託―ロシア・中国・イランによるサイバーグレーゾーン戦略では、ロシア、中国、イランが犯罪グループや非国家アクターを利用する構造を整理しています。

企業の初動では、攻撃者の正体を断定することより、

どのシステムが侵害されたか
社会サービスへ影響があるか
攻撃者がどこまで権限を取得したか
データ持ち出しがあるか
OT・ICSへ到達しているか
他拠点へ横展開しているか

を先に確認します。

サイバーテロ対策で企業が行うべきこと

サイバーテロ対策は、重要インフラ事業者だけの特殊な対策ではありません。

重要インフラへ製品、クラウド、通信、保守、ソフトウェアを提供する企業もサプライチェーンの一部です。

重要資産と停止時の影響を把握する

最初に確認するのは「どのシステムが止まると、どの業務が止まるか」です。

認証基盤
ネットワーク
OT・ICS
生産管理
物流
顧客向けサービス
決済
バックアップ
クラウド管理アカウント

について、停止時の影響と復旧優先順位を決めます。

単純なサーバー台帳ではなく、システム間の依存関係まで確認します。

インターネット公開機器を減らす

ロシアFSBやイラン系APTの事例では、ルーターやPLCなどインターネットに露出した機器が狙われています。

企業では、

VPN
ファイアウォール
ルーター
NAS
PLC
HMI
リモート管理装置

などの外部公開状況を継続的に確認します。

不要な管理画面はインターネットから到達できない構成にします。

パッチと設定変更を管理する

国家支援型アクターでも、常にゼロデイを使うわけではありません。

既知の脆弱性、初期パスワード、設定不備、サポート終了機器などが侵入経路になります。

脆弱性管理
EOL機器の廃止
設定基準
変更管理
管理画面のアクセス制限

を継続します。

MFAはフィッシング耐性まで確認する

ShinyHuntersなどの攻撃では、MFAが導入されていても、ビッシングで認証コードを奪われるケースがあります。

特権アカウントやクラウド管理者では、FIDO2、WebAuthn、パスキーなどフィッシング耐性のある認証方式を優先します。

また、MFAデバイス追加、パスワード再設定、ヘルプデスク経由の本人確認についても監視します。

ITとOTを分離する

OT環境では、業務PCと同じネットワークへPLCや制御装置を直接接続しない設計が必要です。

IT／OTネットワーク分離
ファイアウォール
ジャンプサーバー
リモートアクセス制限
ベンダー保守経路の管理
OT通信の監視

を組み合わせます。

OT機器は停止できない事情からパッチ適用が遅れる場合があるため、ネットワーク側の補完対策も必要です。

ログと監視体制を維持する

国家支援型攻撃では、侵入後に長期間潜伏する場合があります。

最低限、

認証ログ
EDR
DNS
VPN
ファイアウォール
クラウド監査ログ
特権操作
OTネットワーク通信

を調査できる状態にします。

SOCやMDRを利用する場合は、アラートを受け取るだけでなく、夜間に端末隔離やアカウント停止まで実行できるかを確認します。

バックアップを侵害から分離する

破壊活動やランサムウェアでは、バックアップも攻撃対象になります。

オフラインバックアップ
イミュータブルバックアップ
バックアップ管理者アカウントの分離
復旧テスト
複数世代の保持

を行います。

バックアップが存在していても、侵入後の状態を保存しているだけでは安全な復旧点にならない場合があります。

サイバー攻撃を想定したBCPを作る

災害BCPだけでは、サイバー攻撃時に対応できない場合があります。

サイバー攻撃では、

システムは動いているが安全性を確認できず使用禁止になる
ネットワークを意図的に切断する
認証基盤を停止する
数日前のバックアップへ戻す
攻撃者が公開情報を使って対外的に脅迫する

といった状態が発生します。

手作業や代替システムでどこまで業務を継続できるかを訓練します。

国家支援型攻撃を企業はどう見分けるか

企業が自力で国家への帰属を確定するのは困難です。

攻撃者のIPアドレス、言語、マルウェアだけで国家を断定することはできません。

国家支援型の可能性を判断する際は、

CISA、FBI、NSAなど政府機関のアトリビューション
警察庁、JPCERT/CCなどの注意喚起
Microsoft、Google、Mandiantなど複数ベンダーの分析
攻撃インフラ
TTP
標的業種
攻撃目的
過去キャンペーンとの一致

を総合して確認します。

企業がインシデント公表を行う場合も、公式確認がない段階で「ロシアの攻撃」「北朝鮮の攻撃」などと断定しない方が適切です。

情報システム・セキュリティ部門が確認したいポイント

サイバーテロや国家支援型攻撃へ備える場合、次を確認できます。

自社が重要インフラ15分野に該当するか
重要インフラ事業者へ製品・サービスを提供しているか
停止時に社会的影響が大きいシステムを特定しているか
インターネットへ公開されたルーター、VPN、PLCを把握しているか
EOL機器・未修正脆弱性を管理しているか
特権アカウントにフィッシング耐性MFAを導入しているか
ITとOTを分離しているか
外部保守ベンダーのリモートアクセスを制御しているか
認証、ネットワーク、クラウド、EDRのログを横断して調査できるか
24時間の重大アラートに対応する連絡体制があるか
バックアップを本番環境と分離しているか
サイバー攻撃を想定したBCP・復旧訓練を行っているか
攻撃者の帰属を推測で公表しない手順になっているか
警察、JPCERT/CC、監督官庁、外部IR事業者への連絡先を整理しているか

まとめ

サイバーテロとは、警察庁の定義では、重要インフラの基幹システムに対する電子的攻撃や、それによる可能性が高い重大な障害を指します。

単なる情報漏洩や不正アクセスをすべてサイバーテロと呼ぶのは正確ではありません。

ロシアやイランの国家支援型アクターは、通信、エネルギー、水道などの重要インフラを継続的に標的としています。北朝鮮のLazarus Groupも国家支援型ですが、活動には暗号資産窃取、諜報、破壊など複数の目的があり、すべてがサイバーテロに該当するわけではありません。

また、ロンドン交通局への攻撃のように、国家支援型ではない犯罪集団が重要インフラへ大きな影響を与えるケースもあります。TfL事件について英国NCAが認定しているのはScattered Spiderであり、ShinyHuntersとは分けて扱う必要があります。

企業側では、攻撃者の属性だけに注目するのではなく、「重要な社会・事業機能がどのシステムへ依存し、そのシステムが侵害された場合にどこまで影響するか」を基準に防御を設計することがサイバーテロ対策につながります。

サイバーテロとは？国家支援型サイバー攻撃との違い、事例と企業が取るべき対策を解説

サイバーテロとは

日本で重要インフラに指定されている15分野

サイバーテロとサイバー攻撃・サイバー犯罪の違い

サイバーテロでは何が狙われるのか